17.1.2信息安全管理的内容

    ISO/IEC27000系列标准是由国际标准组织与国际电工委员会共同发布的国际公认的信

息安全管理系列标准，它包括ISO/IEC27001《信息技术．安全技术．信息安全管理体系．

要求》、ISO/IEC27002《信息技术一安全技术·信息安全管理体系·实践准则》等系列标准。

ISO/IEC27000系列标准是当前全球业界信息安全管理实践的最新总结，为各种类型的组

织引进、实施、维护和改进信息安全管理提供了最佳实践和评价规范。

    在ISO/IEC27000系列标准中，它将信息安全管理的内容主要概括为如下1 1个方面。

    1．信息安全方针与策略

    为信息安全提供管理指导和支持，并与业务要求和相关的法律法规保持一致。管理

者应根据业务目标制定清晰的方针和策略，并通过在整个组织中颁发和维护信息安全方

针来表明对信息安全的支持和承诺。

    2．组织信息安全

    要建立管理框架．以启动和控制组织范围内的信息安全的实施。

    管理者应批准整个组织内的信息安全方针、分配安全角色并协调和评审安全的实

施。需要时，在组织范围内建立信息安全专家库，发展与外部安全专家或组织（包括相

关政府机构）的联系，以便跟上行业发展趋势、跟踪标准和评估方法，并在处理信息安

全事件时，提供合适的联络渠道，并鼓励多学科的信息安全方法。

    同时要保持被外部组织访问、处理、通信或受其管理的组织信息及信息处理设施的

安全。组织的信息处理设施和信息资产的安全不应由于引入外部各方的产品或服务而降

低。任何外部各方对组织信息处理设施的访问、对信息资产的处理和通信都应予以控制。

若业务上需要与外部各方一起工作从而要求访问组织的信息和信息处理设施，或从外部

各方获得产品或服务或向外部各方提供产品和服务时，就需要进行风险评估，以确定安

全隐患和控制要求。在与外部各方签订的合同中要定义和商定控制措施。

  3．资产管理

  要对组织资产实现并维持适当的保护。

  所有资产均应有人负责，并有指定的所有者。对于所有资产均要识别所有者，并且

要赋予维护相应控制的职责。具体控制的实施可以由所有者委派适当的人员承担，但所

有者仍拥有对资产提供适当保护的责任。

    要确保信息可以碍到适当程度的保护。

    应对信息进行分类，以便在信息处理时指明保护的需求、优先级和期望程度。信息

的敏感度和关键度是可变的。某些信息可能需要额外的保护或特别的处理。应使用信息

分类机制来定义适宜的保护水准和沟通特别处理措施的需求。

    4．人力资源安全

    要确保员工、合同方和第三方用户了解他们的责任并适合于其岗位，从而减少盗窃、

滥用或设施误用的风险。应在雇佣前就在岗位描述、雇用条款和条件中明确安全职责。

所有的应聘人员，包括员工、合同方和第三方用户，特别是敏感岗位的人员，应进行充

分的筛查。员工、合同方和信息处理设施的第三方用户均应就其安全角色和职责签署

协议。

    应确保所有的员工、合同方和第三方用户了解信息安全威胁和关注点，以及他们的

责任和义务，并在他们的日常工作中能够支持组织的信息安全方针，减少人为错误的风

险。应确定管理职责来确保安全应用于组织内个人的整个雇佣期。为尽可能减小安全风

险，应对所有雇员、合同方和第三方用户提供关于安全程序以及正确使用信息处理设旌

的意识、教育和培训。并针对信息安全违规事件建立正式的处罚过程。

    最后，要确保员工、合同方和第三方用户以一种有序的方式离开组织或工作变更。

应建立职责确保员工、合网方和第三方用户的离开组织是受控的，并确保他们已归还所

有设备并删除所有的访问权限。对于组织内的职责或工作变更也应参照上述做法实行类

似管理。

    5．物理和环境安全

    应舫止对组织办公场所和信息的非授权物理访问、破坏和干扰。关键或敏感的信息

处理设施要放置在安全区域内，并受到确定的安全边界的保护，包括采用适当的安全屏

障和入口控制。这些设施要在物理上避免未授权的访问、损坏和干扰。所提供的保护耍

与所识别的风险相匹配。

    应防止资产的丢失、损坏、被盗和破坏，以及对组织业务活动的中断。应保护设备

免受物理和环境的威胁。要对设备（包括非公司现场的设备和迁出的设备）进行保护以

减少未授权访问信息的风险并防止丢失或损坏，同时要考虑设备安置和处置。可能错耍

专门的控制措施来防止物理威胁以及保护支持性设施，诸如电源供应和电缆基础设施。

    6．通信和操作安全

    确保信息处理设施的正确和安全操作。应建立所有信息处理设施的管理和操作的职

责与程序，包括建立适宜的操作程序。适宜时，应实施职责分离，以减少疏忽或故意误

用系统的风险。

    应按照第三方服务交付协议的要求实施并保持信息安全和服务交付的适宜水平。组

织应检查协议的实施，监视协议执行的一致性，并管理变更，以确保交付的服务满足与

第三方商定的所有要求。

    应最小化系统失效的风险。为确保足够能力和资源的可用性以提烘所需的系统性

能，需要预先的策划和准备。应做出对于未来容量需求的规划，以减少系统过载的风腧。

在新系统验收和使用之前，要建立该新系统的运行要求，并形成文件，进行测试。

    应保护软件和信息的完整性。要求有预防措施，以防范和探测恶意代码和未授权的

移动代码的引入。软件和信息处理设施容易受到恶意代码（例如计算机病毒、网络蠕虫、

特洛伊木马和逻辑炸弹）的攻击。要让用户意识到恶意代码的危险。适用时，管理者要

引入控制，以防范、探测井删除恶意代码，并控制移动代码。

    应保持信息和信息处理设施的完整性和可用性。应建立例行程序来执行商定的针对

数据备份以及及时恢复演练的备份策略和战略。

    应确保网络中的信息和支持性基础设施得到保护。网络安全管理可能会跨越组织边

界，需要仔细考虑数据流动、法律要求、监视和保护。在数据通过公共网络进行传输时

要提供额外的保护。

    应防止对资产的未授权泄漏、修改、移动或损坏，及对业务活动的中断。应控制介

质，并对其实施物理保护。应建立适当的操作程序以保护文件、计算机介质（如磁带、

磁盘）、输入输出数据和系统文档免遭未授权的泄露、修改、删除或破坏。

    应维持组织内部或组织与外部组织之间交换信息和软件的安全。组织间佶息和软件

的交换应基于一个正式的交换策略，按照交换协议执行，还应服从任何相关的法律。应

建立程序和标准，以保护传输中的信息和包含信息的物理介质。

    应确保电子商务的安全及其安全使用。应考虑与使用电子商务服务包括在线交易相

关的安全要求和控制措施要求。还应考虑通过公开可用系统以电子方式发布的信息的完

整性和可用性。

    应探测未经授权的信息处理活动。应监视系统并记录信息安全事件。应使用操作员

日志和故障日志以确保识别出信息系统的问题。一个组织的监视和日志记录活动应遵守

所有相关法律的要求。应通过监视系统来检查所采用控制措施的有效性，并验证与访问

策略模型的一致性。

  7．访问控制

  应控制对信息的访问。对信息、信息处理设施和业务过程的访问应基于业务和安全

需求进行控制。访问控制规则应考虑到信息分发和授权的策略。

    应确保授权用户对信息系统的访问，并防止非授权访问。应有正式的程序来控制对

信息系统和服务的访问权限的分配。这些程序应覆盖用户访问生命周期内的所有阶段，

从新用户注册到不再要求访问信息系统和服务的用户的最终注销。适宜时，应特别注意

对有特权的访问权限的分配的控制需求，这种权限允许用户超越系统控制。

    应防止未授权的用户访问，以及信息和信息处理设施的破坏或被盗。授权用户的合

作是有效安全的基础。用户应清楚其对维护有效的访问控制的职责，特别是关于口令使

用和用户设备安全的职责。应实施桌面清空和屏幕清空策略以减步对纸质文件、介质和

信息处理设施的未授权访问或破坏的风险。

    防止对网络服务未经授权的访问。对内部和外部网络服务的访问均应加以控制。访

问网络和网络服务的用户不应损害网络服务的安全，应确保：

    ①在本组织的网络和其他组织拥有的网络或公共网络之间有合适的分界。

    ②对用户和设备采用合适的认证机制。

    ③对用户访问信息服务的控制。

    应防止对操作系统的未授权访问。应采用安全设施来限制授权用户访问操作系统。

这些设施应能：

    (1)按照确定的访问控制策略认证授权用户。

    (2)记录成功和失败的系统认证尝试。

    (3)记录专用系统特权的使用。

    (4)当违背系统安全策略时发布警报。

    (5)提供合适的认证手段。

    (6)适宜时可限制用户的连接时间。

    应防止对应用系统中信息的未授权访问。应采用安全设施限制对应用系统的访问以

及应用系统内部的访问。对应用软件和信息的逻辑访问应只限于授权的用户。应用系

统应限于：

    (1)按照定义的访问控制策略，控制用户访问信息和应用系统功能。

    (2)防止能够越过系统控制或应用控制的任何实用程序、操作系统软件和恶意软件

进行未授权访问。

    (3)不损坏与其共享信息资源的其他系统的安全。

    应确保在使用移动计算和远程工作设施时信息的安全。所要求的保护应与那些特定

工作方法引起的风险相匹配。当使用移动计算时，应考虑不受保护的环境中的工作风险，

并且要应用合适的保护。在远程工作的情况下，组织要把保护应用于远程工作场地，并

且对这种工作方式提供合适的安排。

    8．信息系统的获取、开发和保持

    应确保安全成为信息系统的一部分。信息系统包括操作系统、基础设施、业务应用、

非定制的产品、服务和用户开发的应用软件。支持业务过程的信息系统的设计和实施对

安全来说是至关重要的。在信息系统开发或实旆之前应识别并商定安全要求。所有安全

需求应在项目的需求阶段予以识别，证实其合理性，达成一致，并形成文档，作为信息

系统整个业务案例的一部分。

    应防止应用系统中信息的错误、丢失、未授权的修改或误用。应用系统（包括用户

开发的应用）内应设计合适的控制以确保处理的正确性。这些控制应包括输入数据、内

部处理和输入数据的确认。对于处理敏感的、有价值的或关键的信息的系统或对上述信

息有影响的系统可以要求附加控制。应基于安全需求和风险评估来确定这些拉制措施。

    应通过加密手段来保护信息的保密性、真实性或完整性。应该制定使用密码的策略。

应有密钥管理以支持密码技术的使用。

    应确保系统文档的安全。要控制对系统文档和程序源代码的访问，并且IT项目和

支持活动应以安全的方式进行。应注意不能泄露测试环境中的敏感数据。

    应维护应用系统软件和信息的安全。应严格控制项目和支持环境。负责应用系统的

管理人员也应负责项目和支持环境的安全。他们应确保评审所有提出的系统变更，以检

验这些变更既不损坏该系统也不损害操作环境的安全。

    应减少由利用已发布的技术漏洞带来的风险。应该以一种有效的、系统的、可重复

的方式进行技术漏洞管理，同时采取测量以确定其有效性。这些考虑应包括在用的操作

系统和应用系统。

    9．信息安全事件管理

    确保与信息系统有关的安全事件和弱点以一种能够及时采取纠正措施的方式进行

沟通。应具有正式的事件报告和升级程序，所有的员工、合同方和第三方用户都应该知

道这套报告不同类别的事件和弱点的程序，而这些事件和弱点对组织的赉产安全可能具

有影响。应要求他们尽可能快地将信息安全事件和弱点报告给指定的联系点。

    应确保使用一致、有效的方法管理信息安全事件。应建立职责和程序以有效地处理

报告韵信息安全事件和弱点。对信息安全事件的响应、监视、评估和总体管理应进行持

续的改进。需要证据时，证据的收集应符合法律的要求。

  10.业务持续性管理

  应防止业务活动的中断，保护关键业务流程不会受到重大的信息系统失效或灾难的

影响并确保它们的及时恢复。应实施业务持续性管理过程以减少对组织的影响，并通过

预防和恢复控制措施的结合将信息资产的损失（例如，它们可能是灾难、事故、设备故

障和故意行动的结果）恢复到可接受的程度。这个过程需要识别关键的业务过程，并将

业务持续性的信息安全管理要求与其他的诸如运营、员工安置、材料、运输和设施等持

续性要求予以整合。灾难、安全失效服务丢失和服务可用性的后果应取决于业务影响分

析。应建立和实施业务持续性计划，以确保基本运营能及时恢复。信息安全应该是整体

业务持续性过程和组织内其他管理过程的一个不可或缺的一个部分。除了通用的风险评

估过程外，业务连续性管理应包括识别和减少风险的控制措施、限制有害事件的影响以

及确保业务过程需要的信息能够随时得到。

    11.符合性

    应避免违反法律、法规、规章、合同要求和其他的安全要求。信息系统的设计、运

行、使用和管理都要受到法律法规要求的限制，以及合同安全要求的限制。应从组织的

法律顾问或者合格的法律从业人员处获得关于特定的法律要求方面的建议。法雒要求因

国家而异，而且对于在一个国家所产生的信息发送到另一国家（即越境的数据流）的法

律要求也不相同。

    确保系统符合组织安全策略和标准。应定期评审信息系统的安全。这种评审应根据

相应的安全策略和技术平台进行，而对信息系统也应进行审核，看其是否符合安全实施

标准和形成文件的安全控制要求。

    应最大化信息系统审核的有效性，并最小化来自信息系统审核带来的干扰。在审核

过程中应有控制措施作用于操作系统和审核工具。也要保护审计工具的完整性并防止其

被误用。

    上面1 1个方面是ISO/IEC27000系列标准中提出的信息安全管理的主要内容，当然，

信息安全风险管理也是信息安全管理的重要基础，不管对于哪个方面控制措施的选择和

评价，都应基于风险评价的结果进行的。随着多学科的应用和相互融合，信息安全管理

的内容也更加广泛和深入。